Dossira Diferencias entre el verdadero cifrado de extremo a extremo y las alternativas comunes
Una comparación práctica entre correo electrónico, unidades compartidas, aplicaciones de chat y verdaderos espacios de trabajo E2EE
Nota de estado del producto Dossira: este artículo explica E2EE como modelo general de seguridad. En la vista previa privada actual de Dossira, el E2EE opcional cubre operaciones admitidas sobre contenido de archivos para miembros inscritos. Los nombres de archivo y los metadatos de carpetas quedan fuera de ese límite, y los flujos de compartición con invitados aún no tienen soporte E2EE equivalente.
En el trabajo diario solemos compartir material sensible de tres maneras: correo electrónico, enlaces de unidades compartidas y aplicaciones de chat. Las tres pueden ser “suficientemente seguras” para un uso normal. Pero no son lo mismo que el verdadero cifrado de extremo a extremo (E2EE).
El verdadero E2EE significa: el contenido se cifra en nuestro dispositivo y solo se descifra en el dispositivo del destinatario. El servicio intermedio no puede leerlo.
Un modelo mental sencillo
En la práctica vemos tres niveles:
-
Cifrado de transporte
Los datos se cifran mientras se mueven entre servidores (a menudo TLS). Los servicios del remitente y del receptor aún pueden leerlos. [1][2] -
Cifrado en reposo gestionado por el proveedor
Los datos se cifran en el almacenamiento del proveedor. El proveedor sigue controlando la cadena de claves necesaria para funciones como vista previa, indexación, análisis, recuperación y herramientas de cumplimiento. [4][11] -
Verdadero cifrado de extremo a extremo
Los datos se cifran en nuestro dispositivo y solo los descifran los destinatarios previstos. El servicio intermedio no puede leerlos. [8][9]
1) Correo electrónico
Lo que solemos tener
La mayoría de los correos modernos están protegidos principalmente por TLS en tránsito entre servidores. Eso ayuda contra la interceptación pasiva mientras el mensaje viaja. [1][2]
Pero TLS no es verdadero E2EE. El correo es procesado por los sistemas de correo en el lado emisor y receptor, y los mensajes pueden almacenarse en buzones, archivos, copias de seguridad y cadenas de reenvío.
Cómo es el correo E2EE verdadero (poco común en la práctica)
El correo cifrado de extremo a extremo existe (por ejemplo OpenPGP o S/MIME), pero requiere configuración, gestión de claves y herramientas compatibles en ambos lados. Por eso muchas organizaciones no lo usan de manera constante con contrapartes externas. [3][12]
Conclusión práctica: el correo es sólido para la coordinación. No es ideal para flujos documentales confidenciales de larga duración salvo que añadamos deliberadamente controles de extremo a extremo.
2) Enlaces de unidades compartidas (Google Drive, OneDrive)
Lo que solemos tener
Las unidades empresariales habituales cifran los datos en tránsito y en reposo. Es una buena higiene y reduce mucho riesgo cotidiano. [4][11]
Sin embargo, en las configuraciones por defecto, esto no es verdadero E2EE. El proveedor generalmente puede descifrar contenido como parte de la operación del servicio, porque controla las claves y debe admitir funciones del servidor (vista previa, indexación, análisis, recuperación, etc.). [4][11]
El matiz importante
Algunos proveedores ofrecen modos de cifrado del lado del cliente en los que el cliente controla las claves y el proveedor no puede descifrar. Esto se acerca al verdadero E2EE, pero suele introducir limitaciones funcionales frente al uso compartido estándar. [5][6][7]
Conclusión práctica: las unidades compartidas son cómodas y familiares. No son automáticamente ciegas para el proveedor salvo que activemos un modo de cifrado controlado por el cliente y aceptemos las contrapartidas.
3) Aplicaciones de chat (WhatsApp, Signal)
Lo que solemos tener
Las conversaciones de Signal están cifradas de extremo a extremo. [8]
WhatsApp protege los mensajes con cifrado de extremo a extremo usando el protocolo Signal. [9][10]
Por qué las aplicaciones de chat siguen siendo difíciles para flujos documentales
Los flujos de chat están diseñados para conversación, no para producción estructurada:
- las versiones y aprobaciones quedan enterradas en hilos largos
- las decisiones son difíciles de anclar a un solo archivo
- el control de acceso suele ser “miembro del chat”
- la auditabilidad y los controles de ciclo de vida son limitados frente a un modelo de espacio de trabajo
Conclusión práctica: las aplicaciones de chat son excelentes para coordinación rápida y confidencial. Son incómodas para flujos estructurados donde necesitamos versiones claras, decisiones y acceso controlado.
Qué significa “verdadero E2EE” en un espacio de trabajo
Un verdadero espacio de trabajo E2EE intenta combinar:
- el modelo de privacidad de la mensajería segura (el proveedor no puede leer contenido), y
- el modelo de flujo de trabajo del trabajo profesional (documentos, comentarios, decisiones, permisos)
La contrapartida es constante: cuando el servidor no puede leer contenido, no puede ejecutar funciones del servidor que requieren texto claro.
Comparación rápida
| Mecanismo | Cifra en tránsito | Cifra en reposo | Verdadero E2EE por defecto | Mejor para |
|---|---|---|---|---|
| Correo electrónico (típico) | Sí (a menudo TLS) [1][2] | Depende del proveedor | No | Coordinación, comunicaciones externas |
| Unidades compartidas (típicas) | Sí [4][11] | Sí [4][11] | No (salvo modo de cifrado del lado del cliente) [5][6][7] | Colaboración, almacenamiento, compartición |
| Signal / WhatsApp | Sí | Sí (cargas cifradas) | Sí [8][9][10] | Coordinación confidencial por chat |
| Verdadero espacio de trabajo E2EE | Sí | Sí | Sí | Trabajo confidencial estructurado |
Referencias
[1] Google Workspace Admin Help — Send email over a secure TLS connection
https://support.google.com/a/answer/2520500
[2] Canadian Centre for Cyber Security — Email security best practices (ITSM.60.002), PDF
https://www.cyber.gc.ca/sites/default/files/ITSM.60.002-email-security-best-practices-en.pdf
[3] UK National Cyber Security Centre — Protect email in transit (notes OpenPGP / S/MIME and deployment considerations)
https://www.ncsc.gov.uk/collection/email-security-and-anti-spoofing/protect-email-in-transit
[4] Microsoft Learn (Purview) — Data encryption in OneDrive and SharePoint (BitLocker + per-file encryption)
https://learn.microsoft.com/en-us/purview/data-encryption-in-odb-and-spo
[5] Google Drive Help — Get started with encrypted files in Drive, Docs, Sheets & Slides (Google Workspace client-side encryption)
https://support.google.com/drive/answer/10519333
[6] Google Workspace Admin Help — Client-side encryption FAQ
https://support.google.com/a/answer/14328489
[7] Google Developers — Google Workspace Client-side Encryption overview (explains that CSE prevents Google servers from decrypting)
https://developers.google.com/workspace/cse/guides/overview
[8] Signal Support — Is it private? Can I trust it?
https://support.signal.org/hc/en-us/articles/360007320391-Is-it-private-Can-I-trust-it
[9] WhatsApp — Answering your questions about privacy on WhatsApp
https://www.whatsapp.com/privacyquestions
[10] WhatsApp — Security Advisories
https://www.whatsapp.com/security/advisories
[11] Microsoft Support — How OneDrive safeguards your data in the cloud
https://support.microsoft.com/en-us/office/how-onedrive-safeguards-your-data-in-the-cloud-23c6ea94-3608-48d7-8bf0-80e142edd1e1
[12] UK Information Commissioner’s Office — Encryption scenarios
https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/security/encryption/encryption-scenarios/